Wer durch eine Datenschutzverletzung betroffen ist, hat unter Umständen einen Anspruch auf Schadensersatz — aber wie hoch ist dieser, wann entsteht er, und wie setzt man ihn durch? Nach einer intensiven Rechtsprechungsentwicklung in Deutschland und vor dem EuGH hat das Thema in den letzten Jahren erheblich an Kontur gewonnen.
Rechtsgrundlage: Art. 82 DSGVO
Art. 82 DSGVO gewährt jedem, dem durch einen Verstoß gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Materieller Schaden ist klar — etwa wenn Bankdaten missbraucht und echte finanzielle Schäden entstehen. Immaterieller Schaden umfasst auch Ärger, Stress, den Verlust der Kontrolle über eigene Daten oder ein Gefühl der Überwachung.
EuGH: Kein Mindestschwellenwert — aber auch kein Automatismus
Der EuGH hat mit mehreren Urteilen klargestellt: Ein immaterieller Schadensersatzanspruch setzt keinen Schaden von einer bestimmten Schwere voraus (EuGH, C-300/21 — Österreichische Post). Schon der bloße Kontrollverlust über personenbezogene Daten kann genügen. Allerdings reicht allein ein Verstoß gegen die DSGVO nicht: Es muss ein tatsächlicher Schaden entstanden sein, der kausal auf dem Verstoß beruht. Rein hypothetische oder abstrakte Schadensrisiken genügen nicht.
Wie hoch ist der Schadensersatz in der Praxis?
Deutsche Gerichte haben in den letzten Jahren sehr unterschiedliche Beträge zugesprochen: von wenigen hundert Euro (für den kurzzeitigen Abruf einer E-Mail durch einen Unbefugten) bis zu mehreren tausend Euro (für systematische Datenschutzverletzungen mit erheblichen persönlichen Auswirkungen). Eine Orientierung bietet die Art des Verstoßes, die Sensibilität der betroffenen Daten, die Dauer und der Umfang der Verletzung sowie die Frage, ob bereits ein konkreter Schaden (Identitätsdiebstahl, Missbrauch) eingetreten ist.
Was bedeutet das für Unternehmen?
Datenschutzverletzungen sind kein abstraktes Compliance-Risiko mehr — sie können unmittelbare zivilrechtliche Haftung auslösen. Unternehmen, die von einem Datenleck oder einer DSGVO-Verletzung betroffen sind, müssen damit rechnen, dass Betroffene Schadensersatz geltend machen. Das Risiko steigt bei Massensendungen, Datenpannen mit sensiblen Kategorien (Gesundheitsdaten, politische Einstellungen, sexuelle Orientierung) und bei unzureichender Reaktion nach Bekanntwerden des Vorfalls.
Relevante Rechtsgrundlagen
Art. 82 DSGVO (Schadensersatz); Art. 83 DSGVO (Bußgelder); EuGH, C-300/21 (Österreichische Post — kein Mindestschwellenwert für immateriellen Schaden); EuGH, C-340/21 (Natsionalna agentsia za prihodite); Art. 17 DSGVO (Löschungsanspruch). TWW.LAW berät Unternehmen und Privatpersonen zu Datenschutzverletzungen, Behördenverfahren und der Durchsetzung von Schadensersatzansprüchen nach DSGVO.
Betrifft Sie dieses Thema? Datenpannen und unzulässige Datenverarbeitungen können zu Schadensersatzforderungen von Betroffenen führen. Wenn Sie eine Forderung erhalten haben oder Ihr Risiko einschätzen möchten, stehen wir bereit. Jetzt Kontakt aufnehmen →
Transkript der Folge
Willkommen zum Podcast Kaffeerecht von der Kanzlei TWW Law mit rechtlichen Themen für Kreative, Unternehmer und Unternehmen. Einen wunderschönen guten Morgen, guten Tag, guten Abend, guten wann auch immer ihr uns zuhört. Und herzlich willkommen zu einer weiteren Folge unseres Podcasts Kaffeerecht mit einem rechtlichen Thema, dem wir uns heute widmen wollen. Wie gewohnt an dieser Stelle Dennis Töller am Mikrofon und auf der anderen Seite.
Marvin Erifai, heute sind wir wieder nur zu zweit. Leider muss ich nur mit dir vorlieb nehmen. Danke, danke. Heute geht es um Schadensersatz nach Datenschutzverstößen.
Wir wollen da mal so eine Art, ich finde es ganz gut, wie du das formuliert hast, so eine Art Roundup machen und uns einmal angucken, was es damit eigentlich auf sich hat. wann so ein Schadensersatz in Betracht kommt, welche Fälle es vielleicht auch schon davon in der Rechtsprechung gegeben hat oder in der Praxis einfach gegeben hat und was Datenlecks damit zu tun haben. Ja, ganz genau. Die Datenlecks, die haben mich ehrlich gesagt ein bisschen dazu bewogen, da nochmal ein bisschen drauf zu schauen, weil es gibt ja so die größeren Datenlecks, die man so in der Presse auch mitbekommen hat.
Und wenn man da mal ein bisschen genauer recherchiert, stellt man fest, dass neben diesen großen, prominenten Datenlecks, wie zum Beispiel bei Facebook in 2021 war das, glaube ich, auch viele kleinere Datenlecks immer mal wieder auftauchen. und gerade in der Vergangenheit ja auch so dieses Thema Cyberangriffe auf Unternehmen, auf Behörden, auf unterschiedliche Institutionen, die die Daten bevorraten. Da gibt es ja mittlerweile auch kaum einen Ort, wo keine Daten mehr liegen, ob das jetzt der Taubenzüchterverein ist oder eben, weiß ich nicht, irgendeine Behörde oder eben Unternehmen. Da gibt es viele Möglichkeiten anzugreifen und Daten abzusaugen, sage ich mal.
Aber manchmal ist es aber auch gar kein aktiver Vorgang, manchmal ist es auch einfach nur ein Fehler desjenigen, der für diese Daten verantwortlich ist. Ja, wo du jetzt gerade das Wort Cyberangriffe benutzt hast, kommt einem natürlich sofort der Cyberangriff, der ganz aktuelle, auf die CDU in den Sinn. Den wollen wir uns jetzt nicht angucken, da wollen wir auch nicht drüber weiter reden, weil das sozusagen eher wahrscheinlich politisch motiviert sein wird. Da, wenn mich nicht alles täuscht, ermittelt auch der Verfassungsschutz.
Also das ist ein ganz anderes Thema sozusagen. Wir gucken uns ja jetzt an, was passiert, wenn Daten von natürlichen Personen, also von unserer Eins sozusagen im Internet landet, frei im Internet landet, wo sie eigentlich nicht sein sollten. Das ist aber nicht ausschließlich der einzige Grund, warum man sozusagen Schadensersatz auf Grundlage der DSGVO gelten machen kann. Da gehen wir wahrscheinlich jetzt im ersten Themenpunkt am besten direkt darauf ein.
Der Zusammenhang, der dann ja irgendwo hergestellt wird, ist der, dass nach einem wie auch immer gearteten Datenschutzverstoß, der unter anderem eben in einem solchen Datenleck liegen kann, wenn im Hintergrund tatsächlich auch vielleicht Verhaltensweisen vorgelegen haben, die den datenschutzrechtlichen Vorschriften zuwiderlaufen. Das ist sicherlich gar nicht mal immer der Fall, wenn es irgendwie ein Cyberangriff ist, sondern vielmehr im Vorhinein, wenn ich bestimmte Maßnahmen vielleicht nicht ergriffen habe, Daten nicht besonders geschützt habe, wie das notwendig ist, dann könnte das sein, dass darin ein Datenschutzverstoß liegt und dann sieht die hierfür, nicht einzig relevante, aber maßgeblich relevante Norm des 82 DSGVO eben vor, dass der Betroffene auch einen Schadensersatzanspruch hat. Das ist natürlich vielleicht erstmal sehr interessant für Betroffene. Man sieht aber, dass das in der Praxis dann vielleicht doch gar nicht so einfach ist, wie es auf den ersten Blick scheint.
Genau, also um die drei notwendigen Voraussetzungen nochmal ganz klar zu sagen. Also wir brauchen einen Verstoß gegen die DSGVO. Also es muss ein kausaler Schaden entstanden sein aus diesem Verstoß gegen die DSGVO. Der Schaden wiederum kann entweder materieller Form sein oder immaterieller Form.
Das ist so ein bisschen ein großer Streitpunkt in der Praxis. Das heißt, wenn wir insbesondere dann zum Schaden kommen und möglicherweise liegt ein Verstoß vor, also die Daten sind jetzt irgendwo im Netz, wo sie eigentlich nicht hätten sein dürfen und wir können das auch zurückführen auf ein Datenleck beispielsweise, dann muss trotzdem immer noch ein Schaden vorliegen. Und der Schaden liegt nicht direkt dadurch vor, dass einfach nur die Daten jetzt irgendwo sind, wo sie nicht hätten sein sollen, sondern es muss darüber hinaus eine Betroffenheit geben. Beim materiellen Schaden ist das leicht, das heißt, wenn ich irgendwie, wenn Geld von meinem Konto abgebucht wurde, das nicht hätte abgebucht werden dürfen, dann ist es ein materieller Schaden, das ist gar kein Problem.
Aber was ist, wenn ich einfach nur ein Unwohlsein habe oder möglicherweise konfrontiert bin mit ganz vielen Spam-E-Mails jetzt plötzlich, die ich vorher nicht bekommen habe? Das könnte dann ein immaterieller Schaden sein, aber da kommen wir ja gleich auch nochmal zu. Da sind wir in Deutschland, insbesondere in Deutschland, etwas zurückhaltend, den dann auch zu bejahen und da dann auch einen Schadensersatz zu begründen. Vielleicht noch ein kleiner Punkt.
Anspruchsberechtigt für den Schadensersatz sind natürliche Personen, also diejenigen, die betroffen sind von der Datenverarbeitung. Die DSGVO benutzt den Begriff des Betroffenen gar nicht mal so in wertender Hinsicht. Das heißt, das klingt so irgendwie nach etwas Negativen. Ich bin betroffen von einer Datenverarbeitung, aber das kann alles auf Grundlage eines Vertrags, auf Grundlage einer Einwilligung geschehen.
und trotzdem bin ich dann dieser Betroffene im Sinne der DSGVO, da diese Wertung sollte man sozusagen gedanklich davon trennen, von diesem Begriff als solchen. Und der Anspruch gerichtet wird dagegen das datenverarbeitende Unternehmen. Also nicht gegen die Dritten, die möglicherweise die Daten bekommen haben, gegen die habe ich vielleicht andere Ansprüche, aber in erster Linie gegen das datenverarbeitende Unternehmen, das ist dann der Verantwortliche. So nach der DSGVO-Benennung.
Ja, ganz genau. Das erinnert mich immer so ein bisschen an diesen Begriff des Erfolgs im Strafrecht. Da muss man ja auch recht vorsichtig sein. Also wenn ich sage, es ist ein Erfolg, dann hat das ja meistens etwas Positives.
Wenn ich aber im Strafrecht vom Erfolg der Tötung rede, dann ist das auch ein Erfolg. aber statuiert im Prinzip erstmal nur die Tatsache, dass eine tatbestandliche Voraussetzung eingetreten ist, dass eben da in dem Fall der Tod eines Menschen eingetreten ist, was natürlich kein Erfolg sein kann, aber im Strafrechtlichen ist es eben die Voraussetzung und dann nennt man es eben auch Erfolg. Das klingt auch erstmal nach einer etwas seltsamen Formulierung, aber ähnlich neutral muss man es, glaube ich, hier auch sehen. Und betroffen ist jetzt erstmal nicht negativ.
Wir hatten ganz zu Beginn ja schon über die Datenlecks gesprochen. Ich hatte das vielleicht ein bisschen als Einschub noch ganz aktuell gesehen. Du hattest das CDU-Beispiel genannt. Mir war noch dieses Datenleck bei der Plattform für Cannabis-Clubs über den Weg gelaufen.
Da sind wohl die Cannabis-Clubs, die sich dann gründen können und dann gibt es eben einen Anbieter, einen Softwareanbieter, der ein entsprechendes Programm zur Verfügung stellt, um Mitglieder zu verwalten und eben diese Clubs zu verwalten. Und da soll es wohl eben ein Leck gegeben haben, basierend meines Wissens irgendwie auf irgendwelchen fehlerhaften Einstellungen oder irgendwelche Softwarefehler, sage ich mal, ganz leihenhaft. Und dabei ist es eben dazu gekommen, dass Namen, E-Mail-Adressen, Geburtsdaten, Postleitzahlen und Passwörter, allerdings nicht im Klartext, sondern als gehashte Werte, für Dritte zugänglich gewesen sind. Und das ist so ein klassischer Fall.
Also diese Daten sind ja ein klassischer Fall von personenbezogenen Daten. Wir haben diverses noch, wo wir dann darüber diskutieren, ob das personenbezogene Daten sind oder nicht. Dann gibt es diese relativ weite Auslegung des EuGH, die sagen, okay, IP-Adressen sind auch personenbezogene Daten. Die schwirren wahrscheinlich sehr viel häufiger durch die Gegend, als es bei Klarnamen oder Geburtsdaten etc.
Adressen der Fall ist. Aber bei dem Fall sieht man relativ klar, dass also meines Wissens gab es da jetzt keinen aktiven Angriff von außen, der irgendwie versucht hat, was auszunutzen, sondern es war eben einfach die Möglichkeit, auf die dann jemand, es gibt ja bestimmte Kollektive, die sich da so ein bisschen darauf spezialisiert haben, zu gucken, ob überall die datenschutzrechtlichen Vorschriften eingehalten werden, ob die Daten leicht zugänglich sind oder nicht. Und in dem Fall hat eines dieser Kollektive eben festgestellt, dass man auf Daten zugreifen konnte. Und da stellt sich dann im Nachhinein, wenn man das mal durchexerziert, natürlich die Frage, habe ich als Betroffener, also als Mitglied oder als derjenige, der da irgendwie mit diesen Daten verbunden ist, die Möglichkeit zu sagen, naja, ich möchte gerne einen Schadensersatz geltend machen, weil die Tatsache, dass ich überhaupt in so einem Club registriert bin, dann wie ich heiße, wo ich wohne, was ich für eine E-Mail-Adresse habe etc.
Diese Daten sollten eigentlich nicht an die Öffentlichkeit und da stellt sich die Frage, kann ich da Schadensersatz geltend machen. Diese Frage werden wir jetzt abschließend hier nicht beantworten, aber man kann das glaube ich ganz gut als Beispiel nehmen. Tatsächlich findet es ja statt, das muss man ja nur einmal googeln, irgendwie Facebook Daten leckt, dann findet man diverse Möglichkeiten irgendwie zu prüfen, ob man von diesem Datenleck betroffen ist oder auch WhatsApp-Datenleck oder andere Datenpakete. Und dann gibt es auch diverse Anbieter, die sagen, okay, wir machen für dich Schadensersatz geltend, bis zu 5000 Euro können wir da rausholen etc.
Mit solchen Angaben muss man, glaube ich, immer relativ vorsichtig sein, wie wir das, glaube ich, gleich am Beispiel der Rechtsprechung noch sehen. Aber so wäre ja der Weg zu gucken, hat der Verantwortliche einen Fehler gemacht, der datenschutzrechtlich relevant ist und was für Verstöße kommen denn da überhaupt in Betracht? Vielleicht um da doch nochmal ein bisschen genauer reinzugehen, weil wir haben jetzt ja schon sozusagen vage angedeutet, Datenleck bedeutet nicht unbedingt Datenschutzverstoß, also Verstoß gegen die DSGVO, der dann einen Schadensersatz begründet. Insbesondere für Datenlecks wäre wahrscheinlich Artikel 32 DSGVO sozusagen die maßgebliche Norm, gegen die hier verstoßen werden könnte.
Das ist betitelt mit Sicherheit der Verarbeitung. Das heißt, wenn es jemanden gibt, der Daten verarbeitet, dann ist er dazu verpflichtet, die sogenannten TOMs zu beachten, also die geeigneten technischen und organisatorischen Maßnahmen, um sozusagen den Schutz dieser Daten zu gewährleisten. Da wird dann so eine Abwägung getroffen hinsichtlich der Schwere der Daten, also wie viel Aussagekraft haben die, wie personenbezogen sind die sozusagen und möglicherweise sind es sogar sensible Daten und der Menge der Daten und dann muss entsprechend hoch das Schutzniveau sein. Das heißt, ich muss stärkere oder größere Maßnahmen implementieren, wie beispielsweise Pseudonymisierung der Daten, muss ich dann machen, wenn die Daten aussagekräftiger sind oder möglicherweise halt sensible Daten und sozusagen die Eintrittswahrscheinlichkeit eines Schadens größer ist.
Und dieser Artikel 32 ist aber auch nicht ganz so leicht nachzuweisen in der Praxis, denn für unsereins, wir Verbraucher, wenn jetzt irgendwie bei Facebook ein Datenleck war, dann fällt es uns sicherlich schwer, in einem Gerichtsverfahren darzulegen und zu beweisen, dass Facebook die technischen und organisatorischen Maßnahmen ignoriert hat oder dagegen verstoßen hat, die sozusagen Facebook zumutbar gewesen wären. Und das ist ein Problem in der Praxis, da arbeiten Gerichte teilweise mit so verkappten Vermutungsregelungen und sagen, naja, dann musst du halt Facebook nachweisen, denn nur Facebook kann es nachweisen, dass sie diese Maßnahmen getroffen haben, aber auch das ist im Ergebnis nicht ganz so leicht, einfach nachzuweisen und sicherlich ist es kein Selbstläufer, dass sozusagen Artikel 32 immer bejaht wird, sobald ein Datenleck vorliegt. Ja, das ist ja genau der Punkt. Also auf prozessualer Ebene ist das dann ja so ein bisschen der Versuch, eine Beweislastumkehr zu konstruieren.
Die Voraussetzungen sind relativ hoch aber und das ist es eben. Also zu sagen, naja, Facebook hat irgendwo die und die Maßnahmen ignoriert. Ja, ich kann aber eben nicht auf die Facebook-Server gucken. Ich kann das, was ich von außen sehe, kann ich irgendwie werten.
Das wird aber alleine wahrscheinlich häufig nicht reichen, aber das gilt natürlich nicht nur für Facebook, das gilt eben auch für alle anderen Sachen, für alle anderen Anbieter genauso. Ja und zum Thema Datenleck, weil ich ganz kurz eine persönliche Anekdote erzählen wollen und zwar gab es vor dem Vorliegen der DSGVO gab es mal einen Datenleck bei Sony und da wurden echt meine Kreditkarteninformationen abgegriffen und dann hat in Amerika jemand ein iPhone gekauft mit meinen Kreditkarteninformationen und ich habe das Glück gehabt, dass das Geld dann über meine Bank zurück überwiesen wurde und die haben sich dann für mich sozusagen damit auseinandergesetzt. Ich war damals noch jünger und sehr überfordert mit der Situation und habe auch noch nicht Jura studiert, weil sonst hätte ich mir das bestimmt zugetraut, mir das alles zurückzuholen. Aber genau, was ich nur damit sagen möchte, es kann sehr immenser Schaden sozusagen entstehen.
Und das wäre beispielsweise ein Fall gewesen von einem materiellen Schaden, wo es gar kein Problem wäre, den zu beweisen. Einmal das und dann muss man natürlich davon ausgehen, dass durch diesen stattgefundenen materiellen Schaden, würde ich auch sagen, könntest du sehr gut argumentieren, dass du auch einen immateriellen Schaden dahingehend hast, was die Angst angeht, dass deine Daten missbraucht werden, weil sie ja schon missbraucht worden sind. Also ich denke, da stünden deine Chancen nicht schlecht. Jetzt hat sich das wahrscheinlich schon erledigt.
Aber das ist ja einer der Punkte, über den auch in der Rechtsprechung jetzt aktuell sehr, sehr viel gesprochen wird. Wie weit muss denn dieser immaterielle Schaden gehen? Aber das gucken wir uns gleich an. Ich glaube, wir schauen erstmal nochmal ein bisschen in die Ecke, was für Datenschutzverstöße kommen denn überhaupt in Betracht?
Ja genau, da würde ich nämlich auch noch darauf eingehen, weil es muss nicht immer nur ein Datenleck sein und es muss nicht immer nur Artikel 32 mit der Sicherheit der Verarbeitung sein, der sozusagen einschlägig ist, sondern es kommen eigentlich ganz viele Voraussetzungen in Betracht, die die DSGVO oder Verpflichtungen, die die DSGVO für Verantwortliche von Datenverarbeitung vorsieht. Da könnte zum Beispiel einerseits Artikel 5 mit den Grundsätzen der Verarbeitung von personenbezogenen Daten in Betracht kommen. Das ist beispielsweise die Vorgabe der Datenminimierung, dass möglichst immer nur so wenig personenbezogene Daten wie nötig verarbeitet werden. Oder Artikel 6 und parallel dazu auch Artikel 9, die die Rechtmäßigkeit der Datenverarbeitung vorgeben, dass man sozusagen nur dann Daten verarbeiten darf, wenn eine Rechtsgrundlage vorliegt, beispielsweise eine Einwilligung des Betroffenen.
Das ist ja eigentlich ein Klassiker des Datenschutzverstoßes, weil ich ja eben, wenn ich schon schaue, dass ich einen sehr weiten Begriff dieser Personenbezogenheit habe, dann habe ich, oder personenbeziehbare Daten, dann lande ich eben da, dass ich sage, okay, IP-Adress ist ein personenbezogenes Datum und dann komme ich zu so Konstellationen, die ja in der Vergangenheit auch Personen und Gerichte beschäftigt haben, dass ich so Google-Fonts-Abmahnungen habe, in denen gesagt wird, naja gut, du hast meine IP-Adresse hier an Google-Server in den USA geschickt, als ich deine Website besucht habe, um deine Fonts, also deine Schriften zu laden, um die Website darzustellen. Und darüber hast du mich nicht informiert, dir fehlte die Grundlage, dir fehlt eine Einwilligung, auch ansonsten sehen wir keinen Grund. Und dadurch liegt ein Datenschutzverstoß vor. Darüber sind wir uns, glaube ich, einig.
Und dann aber infolgedessen zu sagen, naja, jetzt habe ich aber auch einen immutriellen Schaden dadurch, dass ich das nicht wusste, dadurch, dass ich Angst habe, dass meine Daten irgendwo in den USA auf Google-Servern liegen, jetzt bekomme ich Betrag X. Was dann genährt wird durch eine Rechtsprechung, die gesagt hat, naja, gut, da gab es mal 500 Euro. Aber im Ergebnis hat es ja eben dann nicht geklappt. Und eine kleine Schwäche von diesen Artikel 6 und 9 mit der Rechtmäßigkeit der Verarbeitung ist ja, dass wenn ich jetzt einfach mal so darauf los surfe im Internet, dann weiß ich ja ehrlich gesagt nicht hundertprozentig, wo welche Daten jetzt von mir verarbeitet werden.
Wer alles meine IP-Adresse jetzt verarbeitet, wahrscheinlich jeder, der irgendwie eine Webseite, jede Webseite, die ich sozusagen angeklickt habe, aber so richtig wissen tue ich es nicht und vielleicht sind ja auch noch weitere Daten dabei, die ich auch nicht so richtig auf dem Schirm habe. Und da, in diese Kerbe schlagen die Artikel 12 bis, ich würde sagen, 15 die Informationspflichten und ein Auskunftsrecht, also Artikel 15 ein Auskunftsrecht für betroffene Personen normieren. Und das ist sozusagen genau der Punkt. Ich kann dann, eigentlich muss ich erstmal informiert werden, wenn Daten von mir verarbeitet werden sollen.
Daraus resultieren diese ganzen Datenschutzerklärungen, die wir sozusagen im Internet ja kennen und alle wegklicken. Aber Artikel 15, ich habe auch einen Auskunftsanspruch darüber, welche Daten verarbeitet werden. Und wenn beispielsweise diesem Auskunftsanspruch nicht nachgekommen wird, dann ist das auch ein Verstoß gegen die DSGVO und auch der begründet einen Schadensersatz. Und ganz wichtig ist das auch, oder ganz häufig mussten sich Gerichte im Arbeitsrecht damit beschäftigen, also Arbeitsgerichte mussten sich damit beschäftigen, denn es kam schon häufiger dazu, dass Arbeitnehmer, wenn sie gekündigt wurden oder wenn sie selbst gekündigt haben, abschließend sozusagen einen Auskunftsanspruch nochmal geltend gemacht haben, um zu gucken, welche Daten hält eigentlich der Arbeitgeber noch über mich vor und möglicherweise wollten sie auch einen Löschanspruch darüber dann noch daran anschließen.
Und in dem Fall war es dann häufig so, dass Arbeitgeber, oder zwei-, dreimal ist es dazu gekommen, dass Arbeitgeber diesem Auskunftsanspruch nicht nachgekommen sind und die mussten dann auch wirklich einen relativ hohen Schadensersatz zahlen, weil sie eben gegen diese Pflicht, diesem Anspruch nicht nachgekommen sind. Das kann man vielleicht als kleinen Exkurs mal mitnehmen, dass das sich auch in der Rechtsprechung widerspiegelt. Also ohnehin ist in den letzten Jahren die Rechtsprechung zu diesen Schadensersatzfragen kontinuierlich angestiegen. Also es gibt stetig steigend Entscheidungen zu solchen Schadensersatz, Voraussetzungen, Schadensersatzansprüchen und der Anteil dieser Entscheidungen, die im Arbeitsrecht spielen, steigt genauso an, weil die DSGVO dem Arbeitnehmer einen, ich möchte jetzt mal sagen, viel klareren Anspruch dahingehend gibt, eben was diese Auskunftsaspekte angeht.
und das trifft im Moment noch auf eine Situation bei vielen Arbeitgebern, dass dort tatsächlich auch Potenzial dafür da ist, dass man solche Ansprüche geltend macht, nicht nur im Bereich der Auskunftsansprüche, sondern eben auch im Bereich der generellen Datenverarbeitung. Da ist, als die DSGVO eingeführt wurde oder als sie in Kraft getreten ist 2018, sind häufig die Maßnahmen erstmal nach außen gerichtet worden. Oh, was jetzt mit Kunden, was mit Geschäftspartnern, was mit meiner Website. Da muss ich gucken, dass alles gut läuft.
Aber erst im zweiten Punkt hat man nach innen geschaut, sage ich mal. Ich bin als Arbeitgeber gegenüber meinen Arbeitnehmern natürlich auch verpflichtet, auf deren Daten aufzupassen. Und ich habe von denen natürlich auch noch viel sensiblere Daten, als ich die von meinen Kunden habe. In jeder Bewerbung stehen höchst sensible Daten drin, wo ich im Artikel 9 lande, da muss ich besondere Maßnahmen treffen, dass das eben gesichert ist, dass meine Toms korrekt sind.
Und da habe ich natürlich auf der einen Seite den generellen Anspruch, dann kommt es eben, oder wenn es dann zur Situation kommt, dass man sich als Arbeitgeber und Arbeitnehmer nicht mehr einig ist, sei es aufgrund einer Kündigung, aufgrund eines Zeugnisses, es gibt ja so ein paar Punkte, und wenn man dann ohnehin im Streit steht, dann ist es auch ein bisschen in Mode gekommen, dass der Arbeitnehmer sagt, naja gut, ich mache diese und jene Ansprüche geltend und übrigens auch noch datenschutzrechtliche Ansprüche. Und da muss man sagen, sind viele Arbeitgeber auch in die Bredouille gekommen. Und das spiegelt sich immer noch in der Rechtsprechung wieder und ist auch weiterhin ein Thema zwischen Arbeitnehmer und Arbeitgeber. Das übersieht man häufig.
Ja, und ich glaube auch, dass hier ein wichtiger Punkt, das geht so ein bisschen Hand in Hand mit der Digitalisierung des Arbeitsverhältnisses. Also, dass man immer mehr digitalisierte Produkte oder Programme benutzt in seinem Arbeitsverhältnis. Also insbesondere jetzt bei so Bürojobs, wie wir sie ausführen auch, werden ja immer mehr Programme verwendet. Irgendwie Teams-Meetings finden statt, Zoom-Meetings finden statt.
Und da werden einfach viel, viel mehr Daten jetzt verarbeitet. Darüber müssen die Arbeitnehmer theoretisch auch aufgeklärt werden. Das heißt, eigentlich müsste man oder wenn man es richtig macht, sollte man immer eine Datenschutzerklärung auch den Arbeitnehmern zur Verfügung stellen, damit die wissen, welche Daten von ihnen verarbeitet werden und damit sie auch wissen, wie da die Speicherfristen sind etc. Deswegen, das ist so ein bisschen so ein Feld, in dem man häufig darüber stolpern könnte oder das nicht so auf dem Schirm hat.
Es wäre aber gut oder es ist ratsam sozusagen, das auf dem Schirm zu haben, insbesondere als Arbeitgeber. Dann würde ich sagen, können wir das insofern vielleicht so ein bisschen zusammenfassen, dass also grundsätzlich es auch nach der entsprechenden Rechtsprechung so ist, dass ich einen Verstoß oder dass jeder Verstoß gegen eine Vorschrift der DSGVO grundsätzlich erstmal geeignet ist, einen Schadensersatzanspruch auszulösen, auch wenn das nicht kein Automatismus ist. Also ich kann nicht sagen, meine Auskunftsanfrage ist nicht binnen eines Monats beantwortet worden, deswegen bekomme ich jetzt 1000 Euro. So einfach ist es dann nicht.
Die Rechtsprechung ist insofern auch etwas uneins darüber, dass die einen sagen, okay, ich brauche einen konkreten Schaden, manche wollen eine sogenannte Erheblichkeitsschwelle und manche sagen, nee, eine Erheblichkeitsschwelle brauchen wir nicht, sobald irgendwie so ein Schaden vorliegt oder sobald irgendwie ein Verstoß vorliegt, kannst du jeden kleinsten Schaden auch irgendwie in Geldform geltend machen. Deswegen würde ich ganz gerne im nächsten Punkt einmal so ein bisschen die tatsächlich sehr junge EuGH-Rechtsprechung zu diesen Aspekten anschauen, um so ein bisschen einzugliedern, wo wir uns jetzt gerade befinden. Weil tatsächlich hat der EuGH so ein paar Punkte festgesetzt, wo man sagen kann, okay, daran kann man sich jetzt erstmal orientieren. Ja, vielleicht könnte man im Ausgangspunkt noch ganz kurz einwerfen, dass diese Erheblichkeitsschwelle, die gefordert wurde in der Rechtsprechung teilweise, dass die insbesondere in Deutschland ein Thema war.
Also die DSGVO gilt ja europaweit, EU-weit und andere Länder waren da schon mehr auf Seiten der Betroffenen sozusagen und haben schneller auch höhere Beträge festgesetzt für Datenschutzverstöße als Schadensersatz. Während in Deutschland, insbesondere in diesem immateriellen Bereich, es Hemmungen gab, das hat auch irgendwie den Hintergrund, dass es in Deutschland generell immaterielle Schadensersatzansprüche eher restriktiv angenommen werden und eher seltener sozusagen auch hohe Beträge dann zugesprochen werden. Und der EuGH hat dann jetzt in einem Urteil vom 4. Mai 2023, also Urteil werden wir bestimmt auch in den Shownotes verlinken, festgestellt, dass grundsätzlich nicht jeder Verstoß gegen eine Vorschrift der DSGVO immer automatisch auch einen Schadensersatzanspruch auslöst.
Also wir brauchen auch einen kausalen Schaden, der auf diesem Verstoß beruht. Das haben wir auch eingangs jetzt so gesagt. Dieser kausale Schaden muss entstanden sein, der muss auch festgestellt worden sein. Was wir aber nicht brauchen und das hat der EuGH sehr ausdrücklich klargestellt ist, das Überschreiten einer Erheblichkeitsschwelle, also eine Art Bagatell oder Erheblichkeitsschwelle ist nicht in Artikel 82 DSGVO enthalten.
Das bedeutet, ich kann auch sozusagen 10 Euro Schadensersatz geltend machen. Ja, das stimmt. Das Schöne ist, dass das jetzt geklärt ist. Das Traurige ist, dass der EuGH auch gesagt hat, dass die DSGVO aber keine Bestimmung dazu enthält, wie man das nun berechnet.
So, das ist bei materiellen Schäden wieder nicht so das Problem. Mir fehlen 10 Euro, also bekomme ich 10 Euro irgendwie im Ausgleich in Geld bei immateriellen Schäden. Und da, ich sage mal so, das Gros der Fälle bewegt sich in diesem Bereich, der immateriellen Schäden. Also bei den Schäden, die ich jetzt gerade in Geld nicht ganz konkret messen kann.
Mir fehlt nicht ein bestimmter Betrag auf meinem Konto, sondern ich habe eben vielleicht eine Angst. Ich bekomme Spam-Mails, ich habe ein ungutes Gefühl dabei, dass meine Daten nun sonst wo sich befinden. Und da hat der EuGH ganz klar gesagt, okay, die nationalen Gerichte müssen Kriterien dafür festlegen, wie das ganz konkret berechnet wird. Die DSGVO enthält dazu einfach keine Bestimmung.
Und da kann man auch nichts irgendwie deuten, lesen oder sonst was, sondern das hat der EuGH dann an die nationalen Gerichte zurückgegeben. Ja, aber auch ein wichtiger Punkt ist ja, dass Artikel 82 DSGVO als EU-Recht muss sozusagen originär für sich oder maximal im Rahmen anderen EU-Rechts ausgelegt werden. Das heißt, wir können nicht sagen, naja, ständige Rechtsprechung im nationalen Recht, in anderen Fällen, wo immaterieller Schadensersatz zugesprochen wird, im deutschen Recht, sprechen wir, ist die Obergrenze bei 500 Euro oder sowas und das übertragen wir jetzt auf die DSGVO. Das dürfen wir eigentlich so nicht oder das dürfen auch die Gerichte eigentlich so nicht.
Sie müssen schon die DSGVO sozusagen für sich eigenständig auslegen und sozusagen dann wahrscheinlich im Ergebnis Einzelfallbetrachtung immer stattfinden lassen und dann am Einzelfall sozusagen ermitteln, was ist jetzt hier im Rahmen der DSGVO sozusagen ein sachlicher oder ein vernünftiger Schadensersatz. Und dann muss man wahrscheinlich auch immer sozusagen in Betracht ziehen, um welchen Verstoß handelt es sich. Ein Verstoß gegen ein Auskunftsrecht kann möglicherweise schlimmer sein als gegen die Informationspflichten vorher. Das könnte zum Beispiel eine Abwägung sein, die dann stattfindet und dann einen höheren Schadensersatz zur Folge hat.
Ja, der EuGH hatte danach im Anschluss an diese genannte Entscheidung auch ein, zwei relativ konkrete Fälle zu entscheiden und hat sich da zu konkreten Sachverhalten dann auch geäußert, was dann immer ganz angenehm ist, dass sich nicht auf so einer hypothetischen Ebene irgendwie alles befindet, sondern auch mal gesagt wird, okay, in diesem Fall ja oder nein. Und ein Fall, den er mit Nein beantwortet hat und gesagt hat, okay, einen Schadensersatz gibt es jetzt hier nicht. Das war etwas, das Urteil ist vom 25. Januar 2024, also aus Juristensicht noch brandneu.
Und da ging es darum, dass bei der Warenausgabe, also jemand hatte ein Elektrogerät gekauft im Laden und bei der Warenausgabe nach dem Kauf sind auf so einem Ausdruck zu diesem Kauf personenbezogene Daten des Käufers, Name, Anschrift, Wohnort, glaube noch ein bisschen mehr, versehentlich von einem Mitarbeiter an einen Dritten herausgegeben worden. Der hatte sich vorgedrängelt und dann ist das eben an ihn herausgegeben worden, anstatt an den eigentlichen Käufer. Das Ganze ist aber in, oder ich sage, binnen 30 Minuten ist dieser Irrtum bemerkt worden und sowohl die Unterlagen als auch das Gerät selber sind zum richtigen Käufer gekommen. Es gab jetzt auch keine Kopie bei dem versehentlichen Empfänger oder irgendwas Digitales, sondern es war einfach stumpf ein Ausdruck.
Papier, Papyrus. Und das hat der EuGH so bewertet, dass gesagt wurde, okay, das ist ein rein hypothetisches Risiko eines Datenmissbrauchs. Der Empfänger dieser Daten hatte das wohl auch gar nicht zur Kenntnis genommen, diese Daten. Also das ist natürlich immer die Frage, was merke ich mir davon etc.
Aber also ich sage mal, wenn ich der versehentliche Empfänger gewesen wäre, das interessiert mich das. Also dann kriege ich so einen Zettel, das sind nicht meine Daten, das ist nicht mein Gerät, das will ich auch nicht haben. Ich gebe das auch alles zurück. Da habe ich auch Verständnis dafür, dass man dann sagt, okay, das reicht nicht aus, um einen Datenschadensersatz zu begründen.
Und in einem anderen Fall, etwas älter, 14. Dezember 2023 ist das Urteil ergangen, ging es um die Folgen eines Cyberangriffs und zwar wurden dort befürchtet, oder der Missbrauch personenbezogener Daten wurde befürchtet. Der EuGH hat dann festgestellt und dem Generalanwalt in der Sache auch zugestimmt, dass die Befürchtung des Missbrauchs erstmal ein ersatzfähiger immaterieller Schaden sein kann, jedoch obliegt es dem Betroffenen nachzuweisen, dass negative Folgen eingetreten sind. Wenn diese negativen Folgen in der Angst des Missbrauchs bestehen, dann muss das nationale Gericht sozusagen prüfen, ob in diesen gegebenen Umständen das als negative Folge, als Schaden einzuordnen ist oder nicht.
Und das bedeutet eigentlich eine Einzelfallprüfung und da ist es sozusagen an dem Betroffenen möglichst umfangreich darzulegen, woher diese Befürchtung eines Missbrauchs kommt. Aber im Ausgangspunkt, es muss nicht sozusagen zu Handlungen gekommen sein, das heißt es muss nicht zu Spam-E-Mails gekommen sein oder zu Spam-Anrufen gekommen sein, sondern auch die Befürchtung als solche, dass Missbrauch noch kommt in der Zukunft, kann ein immaterieller Schaden sein. Da muss ich es nur ausreichend darlegen. Also ich könnte mir ja vorstellen, dass man dann sagt, okay, in vergleichbaren Fällen ist das dann eben passiert, dass man sagt, okay, das wäre begründet.
Ich sage mal so völlig abstruse Fälle, die dann irgendwo noch über drei Ecken sehr viel Hypothetisches da reinbringen. dann könnte der das machen, der könnte das dann damit machen und dann könnte er vielleicht einen neuen Personalausweis beantragen, den ich gar nicht beantragt habe. Da sind die Wege halt dann eben doch sehr kurz, sonst sind wir auch außer Kausalität raus. Ja, und wenn wir das übertragen an Schatz-Siber-Angriff, ein Daten-Lag zum Beispiel mal zugrunde legen würden, dann kommt es natürlich auch entscheidend darauf an, welche Daten in dem Daten-Lag enthalten sind.
Ist es vielleicht nur mein Name? Ist blöd, aber vielleicht nicht ganz so schlimm. Ist es auch schon meine Handynummer? Das ist schon die nächste Eskalationsstufe.
Sind es aber auch meine Kreditkarteninformationen, dann sind wir wieder bei meinem persönlichen Beispiel, dann ist schon ein sehr gefährlicher Zustand erreicht. Und möglicherweise sind ja dann sogar Handlungen von mir notwendig, die dann potenziell auch einen materiellen Schaden entstehen lassen, aber auch die immaterielle Seite ist dann auf jeden Fall leichter zu begründen. Ja, also da würde ich ja tatsächlich dann immer gucken, was ist denn gerade aktuell oder was sind aktuell die Daten, die man zum Beispiel braucht für die Einhaltung irgendwelcher Sicherheitsmaßnahmen. Also wenn man so den in Anführungsstrichen privaten Bereich nimmt, wenn ich jetzt irgendwie mein Passwort vergesse, okay, dann mache ich irgendwie ein Passwort-Reset, dann ist da irgendwo bei einem Anbieter eine E-Mail-Adresse hinterlegt, eine Handynummer hinterlegt oder ich habe das irgendwie über eine Authentifizierungs-App oder ich habe irgendeine andere Sicherungsmethode dahinterlegt, dann kann natürlich die Kenntnis dieser Daten von Relevanz sein, insbesondere dann, wenn ich sage, ich habe, weiß ich nicht, wenn ich jetzt derjenige bin, der diese Daten hat und sagt, okay, ich möchte mich da irgendwie unzulässig mal einklinken, dann sage ich, okay, ich hatte diese Daten, da komme ich aber nicht mehr ran, deswegen versuche ich das irgendwie auf neue Daten umzulenken.
Damit ein Anbieter das macht, muss ich ja eine gewisse Verifikation preisgeben. Und das kann natürlich sein, wenn ich einen bestimmten Datensatz von jemandem habe, dann reicht manchen Anbietern das eben auch aus. Das ist, okay, er kann sich verifizieren, er kann mir sagen, wann er geboren ist, er kann sagen, wie er heißt, er kann sagen, was er für eine Handynummer hat, was er für E-Mail-Adressen hat. Das reicht mir an Informationen, um zu sagen, okay, das wird wohl der Account-Inhaber sein.
Dann ändere ich jetzt seine Daten dahingehend, das weiß ich nicht, kann ein neues Passwort vergeben. Und da kommt es, glaube ich, dann wirklich ganz stark darauf an. reicht es, wenn ich bei Facebook diesen Datensatz habe, da reichte damals vielleicht auch schon die Handynummer und der Name, um tatsächlich begründete Angst davor zu kreieren, dass jemand meinen Account übernimmt, weil das sind eben die Daten, die man dafür braucht. Und ja, also da muss man sagen, dass diese Maßnahmen, ich sage mal, strikter geworden sind.
Das heißt also auch der Zwang zu einer Zwei-Faktor-Authentifizierung auf unterschiedlichen Wegen hat dann natürlich irgendwie schon so ein bisschen Sicherheit geboten. Auf der anderen Seite ist es natürlich auch so, dass die Datenlecks dann häufig oder die Daten, die man dann abgreift, ob es jetzt über ein Leck ist oder ein Angriff oder wie auch immer, auch umfangreicher geworden sind und sich dann auch solche Daten da eben drin befinden können. Vielleicht noch als letztes Urteil oder als weiteres Urteil des EuGH, auch vom 14. Dezember 2023, also gleichzeitig ergangen, hat der EuGH auch nochmal vielleicht mit anderen Worten das Gleiche so ein bisschen gesagt und zwar haben die einfach festgestellt, es braucht keinen spürbaren Nachteil.
Da könnte man jetzt auch wirklich argumentieren, reden wir jetzt hier über die Grenze überhaupt zwischen materiellen und immateriellen Schadensersatz? Wahrscheinlich nicht, also wahrscheinlich ist mit spürbarem Nachteil eben gemeint, dass wie du gesagt hast, muss ich jetzt meine Kontodaten alle ändern, damit ich wieder sicher bin oder muss ich jetzt jeden Tag 30 Spam-E-Mails löschen? Das wäre ein spürbarer Nachteil, aber der wird nicht vorausgesetzt. Und dann geht es halt wieder zurück zu dem Urteil, was wir gerade besprochen haben.
Und man kann sagen, auch die Angst vor einem spürbaren Nachteil könnte ausreichen. Ich würde sagen, wir schauen uns einfach nochmal so ein paar ganz konkrete Beispiele an. um vielleicht auch mal so ein bisschen, ja, das Ganze so ein bisschen mit Leben zu füllen. Und zwar ist es so, vielleicht eine Sache, weil das relativ oft auftaucht, auch in diesen Urteilen, noch ganz kurz zur Erläuterung als Hintergrund, weil häufig in diesen Urteilen auch Scraping behandelt wird.
Scraping als Hintergrund ist aus technischer Sicht das Abgreifen von Informationen, die ich auf einer Website finde, so ganz salopp gesagt. Also es gibt zum Beispiel die Google Bots, die Google Suchmaschine füttern, die wandern so durchs Netz und nehmen die Informationen, die sie auf Internetseiten finden, um den eigenen Index zu füttern. So, daran ist jetzt auch erstmal nichts verkehrt. Das Ganze wird dann schwierig, wenn möglicherweise bei diesem Scraping entweder Schutzvorrichtungen überwunden werden.
Ich also an Daten komme, die nicht nur die Daten sind, die der Website-Betreiber auch ins Impressum geschrieben hat und veröffentlicht wissen möchte, sondern eben auch Daten, die zum Beispiel Kontaktformulare oder andere Formulare beinhalten. Es gab ja da bei diesem Facebook-Datenskandal eben die Schwierigkeit, dass es da eben bei Facebook eine App gab, die diesen Zugriff, den die App quasi auf die Facebook-Daten hatte, genutzt haben soll, um Daten abzugreifen und zu sammeln, die möglicherweise nicht hätten gesammelt werden dürfen. Und dann gab es eben da die Problematik, dass ein Datenpaket auch seinen Weg in die Welt gefunden hat und das relativ umfangreich. Und dieses Scraping ist aber dann eben, das ist nicht darauf beschränkt, also es gibt immer mal wieder natürlich auch ungesichert, also Websites, die nicht hinreichend gesichert sind, die durch Überwindung von Fehler oder unzureichenden Schutzmaßnahmen dann schon Daten preisgeben, die eigentlich nicht an die Öffentlichkeit gehören.
Und wenn das ausgenutzt wird durch entsprechende Bots, dann spricht man da auch vom Scraping oder vom Web-Scraping und dann entstehen solche Datenpakete zum Beispiel. Also, weiß ich nicht, E-Mail-Versandanbieter oder Newsletter-Versandanbieter, wenn ich da unzureichende Maßnahmen getroffen habe und quasi von außen ich mit wenigen Tricks, Das heißt nicht, dass sie nicht illegal sind, aber eben mit wenig Aufwand an Daten komme, wie zum Beispiel ganz viele E-Mail-Adressen. Da sind dann alles verifizierte E-Mail-Adressen, vielleicht mit Namen, vielleicht mit irgendeiner Präferenz. Der hat sich da angemeldet und interessiert sich für dieses und jenes.
Dann kann ich dann natürlich ein dann illegales Datenpaket schüren, was auf dem Datenmarkt sehr interessant ist für Leute, die eben Spam-Mails versenden wollen. Das ist ohne weiteres unzulässig. Und diese Fälle finden in der Rechtsprechung auch recht häufig statt, weil das sind natürlich Massenfälle. Und dann versucht natürlich jeder Betroffene dann irgendwie einzeln etwas geltend zu machen.
Und da gab es jetzt auch jüngst ein Urteil zu, das war vom Oberlandesgericht München aus im April. Und da ging es um eben Scraping aufgrund eines Datenlecks, um das Scraping. Und da hat das Gericht in dem Fall entschieden, dass es keinen Schadensersatz gibt, weil der Kläger in dem Fall hier auch in zweiter Instanz eben an der Hürde gescheitert ist, einen Schaden nachzuweisen, der sich, und das war wieder das Relevante, kausal auf diese DSGVO-Verstöße der Beklagten zurückführen lässt. Und das ist ein klassisches Problem, wie wir das eben auch schon beschrieben haben, dass ich sagen kann, weil es dort eben diesen Datenvorfall gab, bekomme ich jetzt, weiß ich nicht, entweder Spam oder in dem Fall war es eine Mobilfunknummer, die da wohl Teil dieses Datenpakets war, da bekomme ich zum Beispiel irgendwelche Anrufe von Werbeanbietern etc.
Aber das reichte dem OLG München in diesem Fall eben nicht aus, um zu sagen, okay, die, ich glaube, 600 Euro hatte die erste Instanz zugesprochen, die hat das OLG dann aber, ja, ihn wieder weggenommen, wenn man so will. Ja, vielleicht eine kurze Möglichkeit, um aus dem immateriellen Bereich rauszukommen und in den materiellen Schaden reinzugehen, wäre ja, wenn ich jetzt zahlreiche Nachrichten oder immer SMS bekomme auf meine Handyadresse und jetzt muss ich sozusagen den Kosten und den Aufwand betreiben, meine Telefonnummer zu ändern. Weil unabhängig davon, ob ich jetzt immateriellen Schadensersatz gelten machen kann oder nicht, brauche ich einfach eine Telefonnummer, die nicht ständig angerufen wird von irgendwelchen Spam-Menschen oder wo ich dann immer SMS bekomme von Töchtern, die Geld von mir wollen, die ich gar nicht habe. Um das sozusagen zu verhindern, brauche ich eine neue Nummer und um die neue Nummer dann zu holen, muss ich ja möglicherweise irgendwelchen Aufwand tätigen und Geld bezahlen und auch alle benachrichtigen, dass ich jetzt eine neue Nummer habe und da wären wir dann im Bereich des materiellen Schadens.
Der immaterielle Schaden kann immer noch dazukommen, also Schadensersatz, aber das wäre zum Beispiel auch dann eine Möglichkeit, um einfach einen materiellen Schaden zu begründen, vielleicht nur als kleines Beispiel. Um da vielleicht dann einen Anspruch auch mal in die andere Richtung darzustellen, das ist eine Entscheidung aus Mitte des vergangenen Jahres vom Landesarbeitsgericht Baden-Württemberg. Auch da, da haben wir jetzt diesen arbeitsrechtlichen Bezug. Das Gericht hatte im Ergebnis einen Betrag von 10.000 Euro an den Kläger zugesprochen.
Und zwar war oder lag dem Ganzen oder lagen dem Ganzen unterschiedliche Ansprüche zugrunde oder unterschiedliche Verstöße zugrunde. Das war zum einen ein zu spät erfülltes Auskunftsverlangen. Im Datenschutzrecht haben wir nach Artikel 15 eben die Verpflichtung, einen Monat nach Eingang dieses Auskunftsverlangens eines Betroffenen diese Auskunft zu erfüllen. Das lässt sich verlängern, wenn man eine entsprechende Begründung hat, aber grundsätzlich ist dieser eine Monat verpflichtend und wenn das verspätet kommt, dann ist das eben ein Verstoß gegen die DSGVO.
Zusätzlich war es aber so, dass es eben wohl vom dortigen Arbeitnehmer auch Foto- und Filmmaterial gegeben hatte, das irgendwie im Laufe des Arbeitsverhältnisses auch entstanden ist. Das ist aber jedenfalls weiterverwendet worden nach Beendigung des Arbeitsverhältnisses. Und da hat das Gericht gesagt, okay, also dieser Verstoß gegen Artikel 15, also das verspätete Auskunftsverlangen, das reicht uns nicht, um hier einen Schadensersatz zuzusprechen. Aber wir haben hier einen Verstoß gegen Artikel 17 und Artikel 17 ist eben dieses Recht auf Löschung.
Und da der Arbeitnehmer gesagt hat, okay, das möchte bitte gelöscht werden, das ist nicht passiert, dieses Material ist weiterverwendet worden, haben wir da einen relativ klaren Verstoß. Und dafür steht dem Betroffenen, dem Arbeitnehmer auch ein Schadensersatzanspruch zu. Und der war eben hier in diesem Fall in Höhe von 10.000 Euro begründet. Ja, aber das Nicht-Erfüllen von Auskunftsansprüchen in einem Arbeitsverhältnis hat vor dem Arbeitsgericht Duisburg und an der zweiten Instanz vor dem LAG Düsseldorf für sich genommen schon auch einen Schadensersatz in Höhe von 10.000 Euro begründet.
Es lag ein Verstoß gegen Artikel 15 vor, aber in drei verschiedenen Varianten. Und zwar waren es zwei inhaltliche Verstöße gegen Artikel 15. Das heißt, zwei Auskunftsansprüchen, zwei verschiedenen Auskunftsansprüchen, wurden nicht nachgekommen, ist nicht nachgekommen worden. Das heißt, das waren jeweils 2500 Euro nach Ansicht des Gerichts.
Und dann nochmal für die vorsätzliche verspätete Auskunft. Und auch, wenn ich mich recht erinnere, eine sehr lange verspätete Auskunft, ich glaube, die wurde dann erst im Gerichtsverfahren sozusagen nachgeholt, das waren dann irgendwie Monate später. Das wurde dann mit 5000 Euro bewertet und insgesamt dann halt ein 10.000 Euro hoher Schadensersatzanspruch, der dann begründet wurde. In der Fall ist es ein bisschen interessant, weil sich bei der Ermittlung der Höhe des zu leistenden Betrags das Gericht an Artikel 83 Absatz 2 orientiert hat.
Und 83 Absatz 2 behandelt die allgemeinen Bedingungen für die Verhängung von Geldbußen. Und das ist, muss ich ehrlich gestehen, eher unüblich und vielleicht auch nicht ganz richtig, Artikel 83 hier heranzuziehen. Denn explizit richtet sich Artikel 83 mit den Geldbußen ja eben nicht an das Verhältnis zwischen Betroffenen und Verantwortlichen, sondern an das Verhältnis zwischen Aufsichtsbehörde, also Datenschutzbeauftragten und den Verantwortlichen, die wiederholt Verstöße vornehmen oder systematisch schlecht Daten verarbeiten oder unsicher Daten verarbeiten. Deswegen ist das interessant, aber ich bin mir nicht sicher, ob das in vergleichbaren Fällen auch halten würde oder ob andere Gerichte sich so da anschließen würden.
Aber guck mal, da siehst du schon, wie unterschiedlich es sein kann. Also in beiden Fällen ging es um 10.000 Euro. In dem einen Fall hat das Gericht gesagt, naja gut, hier machen wir eben für diesen auskunftsverspäteten Auskunftsanspruch oder nicht erfüllten Auskunftsanspruch, dann gar nichts, sprechen wir gar nichts zu. Und in einem anderen wird es darauf geschützt, in der Tat, ich bin mir nicht sicher, ob nicht der EuGH auch dazu was gesagt hat, dass der 83 dazu tatsächlich nicht herangezogen werden kann, eben aufgrund dieses Verhältnisses.
Das kann sein, ja. Kann aber gut sein, dass es zeitlich danach lag. Ich glaube aber auch, dass das künftig jedenfalls mit der Begründung so nicht mehr funktionieren wird. Ja, was sich auf jeden Fall feststellen lässt, unabhängig von all dem, ist, dass die Anzahl an Verfahren, an Gerichtsverfahren und auch an positiven Gerichtsurteilen für die Betroffenen einfach steigt und sozusagen so langsam die DSGVO richtig an Fahrt aufnimmt und richtig Wirkung entfaltet, in der Hinsicht zumindest.
Und was sich auch erkennen lässt, ist, dass die Gerichte jetzt doch immer mehr auch, seien es auch vergleichsweise geringe Beträge, aber auch einen immateriellen Schadensersatz zusprechen. Insbesondere jetzt, nachdem der EuGH entschieden hat, dass diese Erheblichkeitsschwelle nicht vorhanden sein muss, sieht man ganz, eigentlich relativ häufig so Beträge von 500 bis 1000 Euro, die bei unbefugten Datenabflüssen halt zugesprochen werden. Das ist kein Selbstläufer, das muss ich ganz explizit so sagen. Das ist nicht so, dass man einfach versprechen kann, ah, sie haben einen Datenabfluss, sie werden auf jeden Fall x Euro bekommen.
Das kann man so nicht sagen, das ist auch einfach sehr stark gerichtsabhängig. Aber man sieht da schon auf jeden Fall eine Tendenz, würde ich behaupten. Ja, auf jeden Fall. Und das wird ja auch für die, ich sag mal, für ein Unternehmen wird es erst dann interessant oder gefährlich, sag ich mal, wenn es eben tatsächlich die Masse angeht.
500 Euro tun dem Unternehmen nicht weh. Aber wenn ich auf einmal 10.000 Leute habe, die das machen wollen und da gehen ja diese Sammelklagen und diese ganzen Konstruktionen, die es da jetzt auch neu in Anführungsstrichen gibt, darauf ab, an der Stelle wird es dann schon auch gefährlich. und geht in einen Bereich, wo die Unternehmen sagen, okay, da habe ich einen wirtschaftlichen Punkt, den ich vorher zwingend angehen muss, indem ich sage, okay, ich treffe eben Maßnahmen, die sowas verhindern. Und wenn ich ausreichende Maßnahmen getroffen habe und das belegen kann, dann ist es ja okay.
Dieser Schutz davor, dass Daten überhaupt niemals irgendwo abfließen, den gibt es nicht. Weder tatsächlich noch rechtlich noch sonst was. Da dürfen wir nicht vergessen, dass eben allein die Tatsache, dass diese Daten abgegriffen worden sind, nicht ausreicht, um einen Datenschutzverstoß oder einen Schadensersatzanspruch zu begründen. Aber wenn die dahinterstehenden Maßnahmen eben nicht ausgereicht haben, um die Daten zu schützen, dann komme ich schon immer wieder stärker in den Bereich, dass ich überhaupt etwas bekomme und vielleicht auch nennenswerte Beträge.
Ich habe noch ein Urteil aus Hamburg, das Anfang des Jahres veröffentlicht wurde. Da ging es um einen tatsächlich, wie ich finde, auch tatsächlich sehr, sehr invasiven Bereich. Das heißt, da wurden Forderungen an der Wirtschaftsauskunftsteil gemeldet, obwohl die Voraussetzungen nicht vorlagen. Das heißt also, ich kann, da wurde, weiß nicht, jemand macht eine Forderung gegen mich geltend.
Und wenn ich diese Forderung nicht erfülle, dann gibt es ganz bestimmte Voraussetzungen, unter denen eben der Gläubiger, also derjenige, dem diese Forderung zusteht. an eine sogenannte Wirtschaftsauskunft, Schufa, Kreditreform etc., eine Meldung machen kann und sagen kann, dieser Mensch ist nicht kreditwürdig, weil er seine Forderungen nicht erfüllt. Die Voraussetzungen sind aber hoch, damit ich das überhaupt darf. Weil die Folgen für denjenigen, für den das da gemeldet wird, natürlich elementar sein können.
Dann ist vielleicht seine Kreditwürdigkeit eingeschränkt. Ich bekomme kein, weiß ich nicht, ich kann irgendwas nicht mehr finanzieren. Ich kriege keinen Handyvertrag mehr. Ich kann vielleicht eine Baufinanzierung nicht abschließen, weil dort auch fälschlicherweise so etwas angemeldet wurde.
Und das war in dem Fall so, dass es da eben eine Anmeldung gab, die entgegen der Voraussetzung angemeldet wurde. Und man hat sich wohl auch geweigert, diesen Eintrag zu widerrufen. Und da hat das OLG Hamburg dann in zweiter Instanz gesagt, okay, 4.000 Euro aufgrund dieses Verstoßes sind angemessen und hat 2.000 Euro pro pflichtwidriger Forderungsanmeldung genommen. Da hätte ich gedacht, da hätte man auch mehr nehmen können.
Also, dass man sagt, das betrifft mich potenziell ja schon sehr viel stärker als vielleicht Spam-Mails oder eine verspätete Auskunft. Ja, und ich glaube auch da kann man einfach wieder feststellen, dass es einfach gerichtsabhängig, möglicherweise hätte ein anderes Gericht auch mehr zugesprochen. Bis zum gewissen Grad ist es ja auch prozessführungsabhängig. Es kann ja auch sein, dass die Betroffenen oder die prozessuale Vertretung das dann auf eine andere Art und Weise dargelegt hat, als das vielleicht das Gericht erwartet hat oder gewollt hat oder das Gericht die Erklärungen der Betroffenen nicht ganz so gut nachvollziehen konnte.
Das kann ja immer auch passieren. Da sind viele Faktoren, die sozusagen da reinspielen. Das ist leider nicht so klipp und klar, wie es jetzt ein materieller Schadensersatz eben wäre. Dann sind halt 4.000 Euro abgeflossen, dann kriege ich 4.000 Euro zurück.
So klar ist es leider nicht und da kommen viele Faktoren mit rein, die wir von außen dann auch nicht betrachten können. Deswegen wissen wir nicht, wie diese 4.000 Euro so dann ermittelt wurden und vielleicht sind sie ja dann in diesem Einzelfall doch gerechtfertigt gewesen, auch wenn es einem erstmal ein bisschen wenig vorkommt. Ja, ganz genau. Ich habe an dieser Stelle kein weiteres Urteil, auch wenn es noch, das muss man sagen, diverse gibt, gerade auch erstinstanzliche Urteile, die auch gerade in diesem Jahr ganz frisch ergangen sind, die jetzt alle zu besprechen würden, den Rahmen sprengen.
Aber man sieht eine steigende Anzahl, man sieht da steigende Aktivität, sowohl auf der Seite derjenigen, der Betroffenen, die sagen, okay, das gefällt mir nicht, ich möchte dafür jetzt auch einen monetären Anspruch geltend machen, als auch auf Seiten der Gerichte, die dann sagen, ja, es gibt auch einen monetären Anspruch. Also ich sage mal, da wird keiner reich von, würde ich mal behaupten. Aber für die Unternehmen sind es in jedem Fall Beträge, die aufhorchen lassen. Die Masse macht dann natürlich auch so ein bisschen das Ganze aus.
Und man muss solche Dinge nicht auf sich sitzen lassen, das muss man ganz klar sagen. Und ich kenne Fälle aus dem eigenen, aus dem privaten Bereich, wo ich auch denke, dafür sind Daten zu wichtig geworden, als dass ich jetzt hinnehme, dass da so schludrig mit umgegangen wird. Das ist dann manchmal auch eine Prinzip-Sache, muss man sagen. Ja und zumindest mir geht es auch nicht darum, jetzt irgendwie dafür zu werben, dass man das als Selbstzweck betrachten soll, Datenschutzverstöße irgendwo anzuprangern, um damit sich einen kleinen Nebenverdienst reinzuholen.
Das ist ja gerade nicht Sinn der Sache, sondern Sinn der Sache ist ja, dass alle Beteiligten, jeder der Daten verarbeitet, aber auch Daten irgendwo aufgibt, erstens so ein bisschen besser eine höhere Sensibilität dafür hat, was diesen Wert der Daten angeht und dann entsprechend die Maßnahmen trifft, um diese sicher zu halten. Also und das ist ja sozusagen das Ziel der DSGVO am Ende des Tages und es ist nicht das Ziel der DSGVO, dass ich Geld damit verdiene, dass ich Datenschutzverstöße gerichtlich geltend mache. Also ja, ein schönes Schlusswort. Ich glaube, damit haben wir es und haben hoffentlich einen guten Überblick gegeben über den aktuellen Stand dieses Themas, wie man Schadensersatz nach Datenschutzverstößen zu bewerten hat.
Und wenn euch das Thema gefallen hat, dann freuen wir uns natürlich, wenn ihr uns das wissen lasst, am liebsten über eine entsprechende Bewertung in den Portalen eurer Wahl. Und wenn ihr ansonsten Anmerkungen, Rückfragen oder Themenvorschläge habt, dann wendet euch gerne an podcast.tvw.law. Und ich freue mich auf die nächste Folge und sage bis dahin auf Wiederhören. Dem schließe ich mich einfach an.
Auf Wiederhören. Es war mir wie immer eine Freude. Bis in zwei Wochen.